“动态验证码”究竟方便了谁？

GZGame

　　移动支付盛行的今天，U盾、口令卡、K宝已跟不上我们快节奏的步伐，动态验证码的方便快捷让我们追捧。那么，问题来了？“方便快捷”的动态验证码背后到底隐藏着多大的安全隐患？黑客又是如何利用这些安全隐患让你的财产不翼而飞？

　　早在2016年初，许多假的银行应用程序“SmsSecurity”，它们号称能帮助用户使用动态验证码来登录银行账户，其实这些恶意程序不仅专门窃取短信发送的密码信息，还会接收远端黑客的攻击指令，帮助黑客全面控制用户的移动设备。

　　近日，恶意程序SmsSecurity不断衍生新变种体，还强化了新攻击功能。包括：防分析能力、自动破解Android、语言侦测和利用穿透软件TeamViewer进行远程监控。与此同时，SmsSecurity还巧妙地利用Android辅助功能绕过与使用者的互动来实施隐秘行动。

　　黑客避免SmsSecurity变种体在模拟器中执行，让样本分析较为困难，这样做的目的是更好地隐藏自己身份。

　　SmsSecurity变种体一旦发作，它会强行要求用户使用恶意辅助功能。这种恶意程序会尝试下载并执行第三方Android破解工具。辅助功能服务会监视com.shuame.rootgenius.ui.homepage.HomepageActivity活动，这是破解工具的主要活动。如果在监视中有所发现，辅助功能服务就会寻找并点击活动内的启动项来破解程序。

　　在取得root权限后，恶意程序会尝试修改程序文档的oom_adj设定值，以防止系统因存储不足而终止运行。

　　另外，在设备上安装TeamViewerQuickSupport程序是SmsSecurity变种体远程监控用户的一种手段。它可用通过技术传送攻击指令，帮助黑客接管用户的移动设备使用权。